Тормозит компьютер + реклама в браузере [not-a-virus:Downloader.Win32.AdLoad.uhdq, Trojan.Win64.Agent.dox ]

[romannk]

Здравствуйте.

Тормозит компьютер, а также вылазиет реклама в браузере.

У меня 64 разрядная операционная система, поэтому как и написано в инструкции 1-ый пункт инструкции я не делал, соответственно файла virusinfo_syscure.zip в логах у меня нету и я его не прикреплял)

[Info_bot]

Уважаемый(ая) romannk, спасибо за обращение на наш форум!

Помощь при заражении комьютера на VirusInfo.Info оказывается абсолютно бесплатно. Хелперы, в самое ближайшее время, ответят на Ваш запрос. Для оказания помощи необходимо предоставить логи сканирования утилитами АВЗ и HiJackThis, подробнее можно прочитать в правилах оформления запроса о помощи.

Информация

Если вы хотите получить персональную гарантированную помощь в приоритетном режиме, то воспользуйтесь платным сервисом Помогите+.

Если наш сайт окажется полезен Вам и у Вас будет такая возможность - пожалуйста поддержите проект.

[thyrex]

Выполните скрипт в AVZ

begin
ShowMessage('Внимание! Перед выполнением скрипта AVZ автоматически закроет все сетевые подключения.' + #13#10 + 'После перезагрузки компьютера подключения к сети будут восстановлены в автоматическом режиме.');
ExecuteFile('net.exe', 'stop tcpip /y', 0, 15000, true);
if not IsWOW64
 then
  begin
   SearchRootkit(true, true);
   SetAVZGuardStatus(True);
  end;
 QuarantineFile('C:\Program Files\spacesoundpro\uninstaller.exe','');
 QuarantineFile('C:\Users\Roman\appdata\roaming\upupdata\service.exe','');
 QuarantineFile('C:\Users\Roman\appdata\roaming\texteditor\daemon\texteditor.exe','');
 QuarantineFile('C:\Users\Roman\appdata\local\birds\ruppellsvulture.dll','');
 QuarantineFile('C:\Users\Roman\appdata\local\birds\cassowary.dll','');
 QuarantineFile('C:\WINDOWS\syswow64\searchprotectservice.exe','');
 QuarantineFile('C:\WINDOWS\system32\searchprotectservice.exe','');
 QuarantineFile('C:\Program Files (x86)\Max Driver Updater\uninstaller.exe','');
 QuarantineFile('C:\Users\Roman\AppData\Roaming\FreeVPN\FreeVPN.exe','');
 QuarantineFile('C:\PROGRA~1\Arocmihre\Xuutioz.bat','');
 QuarantineFile('C:\Users\Roman\AppData\Local\Birds\birds365.exe','');
 QuarantineFile('c:\pcfiXtraystres.lnk','');
 QuarantineFile('c:\pcfiXtrayyzynw.lnk','');
 QuarantineFile('c:\pcfiXtrayyzohx.lnk','');
 DeleteService('QMUdisk');
 DeleteService('softaal');
 QuarantineFile('C:\WINDOWS\system32\DRIVERS\ucguard.sys','');
 SetServiceStart('UCGuard', 4);
 DeleteService('UCGuard');
 SetServiceStart('cherimoya', 4);
 DeleteService('cherimoya');
 QuarantineFile('C:\WINDOWS\system32\drivers\cherimoya.sys','');
 DeleteService('Mayzo');
 DeleteService('GoogleChromeUpSvc');
 DeleteService('GoogleChromeUpService');
 QuarantineFile('C:\Users\Roman\AppData\Roaming\BelgoBoms\Poefet.exe','');
 QuarantineFile('C:\Users\Roman\AppData\Roaming\svrupg.exe','');
 QuarantineFile('C:\ProgramData\service.exe','');
 SetServiceStart('LiveUpdateSvc', 4);
 DeleteService('LiveUpdateSvc');
 SetServiceStart('Buozfoq', 4);
 DeleteService('Buozfoq');
 QuarantineFile('C:\WINDOWS\SYSTEM32\DNSAPI.dll','');
 QuarantineFile('C:\Users\Roman\AppData\Roaming\Khrobge\Wuwcuuj.dll','');
 TerminateProcessByName('C:\Users\Roman\AppData\Roaming\Khrobge\Fubdhpe.exe');
 TerminateProcessByName('c:\users\roman\appdata\roaming\khrobge\khrobge.exe');
 TerminateProcessByName('c:\users\roman\appdata\roaming\khrobge\wuwcuuj.exe');
 QuarantineFile('c:\users\roman\appdata\roaming\khrobge\wuwcuuj.exe','');
 QuarantineFile('C:\Users\Roman\AppData\Roaming\Khrobge\Fubdhpe.exe','');
 QuarantineFile('c:\users\roman\appdata\roaming\khrobge\khrobge.exe','');
 TerminateProcessByName('c:\program files (x86)\iobit\liveupdate\liveupdate.exe');
 QuarantineFile('c:\program files (x86)\iobit\liveupdate\liveupdate.exe','');
 DeleteFile('c:\program files (x86)\iobit\liveupdate\liveupdate.exe','32');
 DeleteFile('c:\users\roman\appdata\roaming\khrobge\wuwcuuj.exe','32');
 DeleteFile('c:\users\roman\appdata\roaming\khrobge\khrobge.exe','32');
 DeleteFile('C:\Users\Roman\AppData\Roaming\Khrobge\Fubdhpe.exe','32');
 DeleteFile('C:\Program Files (x86)\IObit\LiveUpdate\ProductStatistics.dll','32');
 DeleteFile('C:\Users\Roman\AppData\Roaming\Khrobge\Wuwcuuj.dll','32');
 DeleteFile('C:\ProgramData\service.exe','32');
 DeleteFile('C:\Users\Roman\AppData\Roaming\svrupg.exe','32');
 DeleteFile('C:\Users\Roman\AppData\Roaming\BelgoBoms\Poefet.exe','32');
 DeleteFile('C:\WINDOWS\system32\drivers\cherimoya.sys','32');
 DeleteFile('C:\WINDOWS\system32\DRIVERS\ucguard.sys','32');
 DeleteFile('C:\Program Files (x86)\Tencent\QQPCMgr\11.4.17339.217\QMUdisk64.sys','32');
 DeleteFile('C:\Program Files (x86)\Tencent\QQPCMgr\11.4.17339.217\softaal64.sys','32');
 DeleteFile('C:\Program Files (x86)\Tencent\QQPCMGR\Plugins\SRepairDrv','32');
 DeleteFile('C:\Program Files (x86)\Tencent\QQPCMgr\11.4.17339.217\TsNetHlpX64.sys','32');
 DeleteFile('c:\pcfiXtrayyzohx.lnk','32');
 DeleteFile('c:\pcfiXtrayyzynw.lnk','32');
 DeleteFile('c:\pcfiXtraystres.lnk','32');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','PCFIXTRAYCEPXX');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','PCFIXTRAYTPRWX');
 RegKeyParamDel('HKEY_LOCAL_MACHINE','Software\Microsoft\Windows\CurrentVersion\Run','PCFIXTRAYQZBYK');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','mvsewciacc');
 DeleteFile('C:\Users\Roman\AppData\Local\Birds\birds365.exe','32');
 RegKeyParamDel('HKEY_CURRENT_USER','Software\Microsoft\Windows\CurrentVersion\Run','Birds');
 DeleteFile('C:\PROGRA~1\Arocmihre\Xuutioz.bat','32');
 DeleteFile('C:\WINDOWS\system32\Tasks\Legwyfte','64');
 DeleteFile('C:\WINDOWS\system32\Tasks\Microsoft\Windows\SystemRestore\FreeVPN','64');
 DeleteFile('C:\Users\Roman\AppData\Roaming\FreeVPN\FreeVPN.exe','32');
 DeleteFile('C:\Users\Roman\AppData\Roaming\yoursearching\UninstallManager.exe','32');
 DeleteFile('C:\WINDOWS\system32\Tasks\{50D7A221-467A-46C1-AE4E-46F3CDFA0FFD}','64');
 DeleteFile('C:\Program Files (x86)\Max Driver Updater\uninstaller.exe','32');
 DeleteFile('C:\WINDOWS\system32\Tasks\{A95E3F1B-92C5-409A-B858-31C2A2C9C28F}','64');
 DeleteFile('C:\WINDOWS\system32\searchprotectservice.exe','32');
 DeleteFile('C:\WINDOWS\syswow64\searchprotectservice.exe','32');
 DeleteFile('C:\Users\Roman\appdata\local\birds\cassowary.dll','32');
 DeleteFile('C:\Users\Roman\appdata\local\birds\ruppellsvulture.dll','32');
 DeleteFile('C:\Users\Roman\appdata\roaming\texteditor\daemon\texteditor.exe','32');
 DeleteFile('C:\Users\Roman\appdata\roaming\upupdata\service.exe','32');
 DeleteFile('C:\Program Files\spacesoundpro\uninstaller.exe','32');
 BC_ImportAll;
ExecuteSysClean;
BC_Activate;
RebootWindows(false);
end.

Будет выполнена перезагрузка компьютера.

Выполните скрипт в AVZ

begin
CreateQurantineArchive('c:\quarantine.zip');
end.

c:\quarantine.zip пришлите по красной ссылке Прислать запрошенный карантин над первым сообщением в Вашей теме.

Сделайте лог CheckBrowsers' Lnk

Выполните правила ЕЩЕ РАЗ и предоставьте НОВЫЕ логи

[romannk]

quarantine.zip отправил, остальное прикрепляю.

[thyrex]

Скачайте ClearLNK и сохраните архив с утилитой на Рабочем столе.
1. Распакуйте архив с утилитой в отдельную папку.
2. Перенесите Check_Browsers_LNK.log на ClearLNK как показано на рисунке

3. Отчет о работе ClearLNK-<Дата>.log будет сохранен в папке LOG.
4. Прикрепите этот отчет к своему следующему сообщению.


Сделайте лог полного сканирования МВАМ

[romannk]

Прикрепил.

[thyrex]

Удалите в МВАМ все, кроме

RiskWare.Tool.CK, C:\Games\Battlefield 2\key.exe, , [754197393960b97d43a82234e02537c9], 
RiskWare.Tool.CK, C:\Games\Battlefield 2\Redist\key.exe, , [526401cfb1e82f073ead55010ef743bd], 
PUP.Optional.OpenCandy, C:\Users\Roman\Downloads\CheatEngine63.exe, , [882e14bc8514d264ed45e50e2ad7dd23], 
PUP.Optional.OpenCandy, C:\Users\Roman\Downloads\CheatEngine65.exe, , [86303b954059a78f8aa805ee3ac7d42c],

[romannk]

Спасибо! Вирусы из браузера пропали, компьютер стал работать лучше.

Однако при загрузке Windows (Windows 10) не загружается рабочий стол, вместо него только пустой черный экран. Пробовал перезагружать - тоже самое происходит.

Я нажал Alt + Ctrl + Del и через Диспетчер задач запустил explorer.exe, тогда появился рабочий стол.

В реестре

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon

где Shell прописано explorer.exe, где userinit написано wscript,

В

[thyrex]

Скачайте Farbar Recovery Scan Tool и сохраните на Рабочем столе.

• Примечание: необходимо выбрать версию, совместимую с Вашей операционной системой. Если Вы не уверены, какая версия подойдет для Вашей системы, скачайте обе и попробуйте запустить. Только одна из них запустится на Вашей системе.

1. Запустите программу двойным щелчком. Когда программа запустится, нажмите Yes для соглашения с предупреждением.
2. Убедитесь, что в окне Optional Scan отмечены List BCD, Driver MD5 и 90 Days Files.

3. Нажмите кнопку Scan.
4. После окончания сканирования будет создан отчет (FRST.txt) в той же папке, откуда была запущена программа.
5. Если программа была запущена в первый раз, также будет создан отчет (Addition.txt).
6. Полученные в пп. 4 и 5 логи заархивируйте (в один архив) и прикрепите к сообщению.

[romannk]

Прикрепил.

[thyrex]

C:\WINDOWS\system32\dnsapi.dll
C:\WINDOWS\SysWOW64\dnsapi.dll

проверьте на virustotal.com и пришлите ссылки

> Chrome Search

удалите через Установку программ


1. Откройте Блокнот и скопируйте в него приведенный ниже текст

CreateRestorePoint:
HKLM-x32\...\Run: [] => [X]
HKLM\...\Winlogon: [Userinit] wscript,
ShellIconOverlayIdentifiers: [###MegaShellExtPending] -> {056D528D-CE28-4194-9BA3-BA2E9197FF8C} =>  No File
ShellIconOverlayIdentifiers: [###MegaShellExtSynced] -> {05B38830-F4E9-4329-978B-1DD28605D202} =>  No File
ShellIconOverlayIdentifiers: [###MegaShellExtSyncing] -> {0596C850-7BDD-4C9D-AFDF-873BE6890637} =>  No File
ShellIconOverlayIdentifiers: [00avast] -> {472083B0-C522-11CF-8763-00608CC02F24} =>  No File
ShellIconOverlayIdentifiers-x32: [###MegaShellExtPending] -> {056D528D-CE28-4194-9BA3-BA2E9197FF8C} =>  No File
ShellIconOverlayIdentifiers-x32: [###MegaShellExtSynced] -> {05B38830-F4E9-4329-978B-1DD28605D202} =>  No File
ShellIconOverlayIdentifiers-x32: [###MegaShellExtSyncing] -> {0596C850-7BDD-4C9D-AFDF-873BE6890637} =>  No File
CHR HKLM\SOFTWARE\Policies\Google: Restriction <======= ATTENTION
CHR HKU\S-1-5-21-272601286-3573924320-3206626390-1002\SOFTWARE\Policies\Google: Restriction <======= ATTENTION
HKU\S-1-5-21-272601286-3573924320-3206626390-1002\Software\Microsoft\Internet Explorer\Main,Search Page = hxxp://othesearch.ru/?ri=1&rsid=998b4b1f7bba728cc64b628b45dd434d&q={searchTerms}
HKU\S-1-5-21-272601286-3573924320-3206626390-1002\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = hxxp://othesearch.ru/?ri=1&rsid=998b4b1f7bba728cc64b628b45dd434d&q={searchTerms}
SearchScopes: HKU\S-1-5-21-272601286-3573924320-3206626390-1002 -> {0633EE93-D776-472f-A0FF-E1416B8B2E3C} URL = hxxp://othesearch.ru/?ri=1&rsid=998b4b1f7bba728cc64b628b45dd434d&q={searchTerms}
SearchScopes: HKU\S-1-5-21-272601286-3573924320-3206626390-1002 -> {0633EE93-D776-472f-A0FF-E1416B8B2E3D} URL = hxxp://othesearch.ru/?ri=1&rsid=998b4b1f7bba728cc64b628b45dd434d&q=
Toolbar: HKU\S-1-5-21-272601286-3573924320-3206626390-1002 -> No Name - {91397D20-1446-11D4-8AF4-0040CA1127B6} -  No File
Toolbar: HKU\S-1-5-21-272601286-3573924320-3206626390-1002 -> No Name - {2318C2B1-4965-11D4-9B18-009027A5CD4F} -  No File
FF Extension: Антимат - C:\Users\Roman\AppData\Roaming\Mozilla\Firefox\Profiles\nahd6ha2.default\Extensions\helper@helper [2016-04-03] [not signed]
FF Plugin-x32: @qq.com/npAndroidAssistant -> C:\Program Files (x86)\Common Files\Tencent\QQPhoneManager\2.0.201.3192\npQQPhoneManagerExt.dll [2014-05-30] (腾讯公司)
FF Extension: Advanced SystemCare Surfing Protection - C:\Users\Roman\AppData\Roaming\Mozilla\Firefox\Profiles\nahd6ha2.default\Extensions\[email protected] [2015-09-28] [not signed]
OPR Extension: (Advertising block) - C:\Users\Roman\AppData\Roaming\Opera Software\Opera Stable\Extensions\dojgfgknadakhfnaogaipdbdamepeffe [2016-04-03]
CHR HKLM\...\Chrome\Extension: [eahebamiopdhefndnmappcihfajigkka] - hxxps://chrome.google.com/webstore/detail/eahebamiopdhefndnmappcihfajigkka
CHR HKLM\...\Chrome\Extension: [ldhndahencefpagkkbaoaeigbjomkekj] - hxxps://clients2.google.com/service/update2/crx
CHR HKU\S-1-5-21-272601286-3573924320-3206626390-1002\SOFTWARE\Google\Chrome\Extensions\...\Chrome\Extension: [dhdgffkkebhmkfjojejmpbldmpobfkfo] - hxxp://clients2.google.com/service/update2/crx
CHR HKLM-x32\...\Chrome\Extension: [aeembeejekghkopiabadonpmfpigojok] - hxxps://clients2.google.com/service/update2/crx
CHR HKLM-x32\...\Chrome\Extension: [bgcifljfapbhgiehkjlckfjmgeojijcb] - hxxps://clients2.google.com/service/update2/crx
CHR HKLM-x32\...\Chrome\Extension: [eioddfaepdoeifbhjphfefgipcjcdieo] - hxxps://clients2.google.com/service/update2/crx
CHR HKLM-x32\...\Chrome\Extension: [fdjdjkkjoiomafnihnobkinnfjnnlhdg] - hxxp://clients2.google.com/service/update2/crx
CHR HKLM-x32\...\Chrome\Extension: [geidjeefddhgefeplhdlegoldlgiodon] - hxxp://clients2.google.com/service/update2/crx
CHR HKLM-x32\...\Chrome\Extension: [iflppbjnpneiigcbdfjpnkebidmkjmoi] - hxxps://clients2.google.com/service/update2/crx
CHR HKLM-x32\...\Chrome\Extension: [ilamgbdaebkbpkkmfmmfbnaamkhijdek] - hxxps://clients2.google.com/service/update2/crx
CHR HKLM-x32\...\Chrome\Extension: [lbjjfiihgfegniolckphpnfaokdkbmdm] - hxxps://clients2.google.com/service/update2/crx
CHR HKLM-x32\...\Chrome\Extension: [oelpkepjlgmehajehfeicfbjdiobdkfj] - hxxps://clients2.google.com/service/update2/crx
CHR HKLM-x32\...\Chrome\Extension: [ofdgafmdegfkhfdfkmllfefmcmcjllec] - hxxps://clients2.google.com/service/update2/crx
CHR HKLM-x32\...\Chrome\Extension: [pnooffjhclkocplopffdbcdghmiffhji] - hxxps://clients2.google.com/service/update2/crx
2016-04-27 14:30 - 2016-04-27 14:30 - 00002183 _____ C:\pcfiXtraygmnha.lnk
2016-04-25 12:55 - 2016-04-25 12:55 - 00002183 _____ C:\pcfiXtrayzooco.lnk
2016-04-24 11:31 - 2016-04-24 11:31 - 00002183 _____ C:\pcfiXtrayvljpb.lnk
2016-04-23 12:53 - 2016-04-23 12:53 - 00002183 _____ C:\pcfiXtraywempw.lnk
2016-04-22 14:34 - 2016-04-22 14:34 - 00002183 _____ C:\pcfiXtraygrlpg.lnk
2016-04-19 16:49 - 2016-04-19 16:49 - 00038520 _____ (Tencent) C:\WINDOWS\SysWOW64\Drivers\TS888x64.sys
2016-04-19 14:01 - 2016-04-19 14:01 - 00000000 ____D C:\Program Files\Common Files\Tencent
2016-04-19 14:00 - 2016-04-19 20:25 - 00000000 ____D C:\Users\Все пользователи\TXQMPC
2016-04-19 14:00 - 2016-04-19 20:25 - 00000000 ____D C:\ProgramData\TXQMPC
2016-04-19 14:00 - 2016-04-19 14:22 - 00000000 ____D C:\Users\Roman\AppData\Roaming\Tencent
2016-04-19 13:58 - 2016-04-19 13:58 - 00087800 _____ (电脑管家) C:\WINDOWS\system32\Drivers\TFsFltX64.sys
2016-04-19 13:57 - 2016-04-19 20:26 - 00000000 ____D C:\Users\Все пользователи\Tencent
2016-04-19 13:57 - 2016-04-19 20:26 - 00000000 ____D C:\ProgramData\Tencent
2016-04-19 13:57 - 2016-04-19 13:57 - 00000000 ____D C:\Program Files (x86)\Tencent
2016-04-16 14:12 - 2016-04-16 14:12 - 00000000 ____D C:\WINDOWS\system32\tui
2016-04-16 12:36 - 2016-04-16 12:36 - 00000000 ____D C:\WINDOWS\system32\elia
2016-04-16 12:04 - 2016-04-16 12:04 - 00000000 ____D C:\WINDOWS\system32\fedf
2016-04-16 00:57 - 2016-04-16 00:57 - 00000000 ____D C:\WINDOWS\system32\ojie
2016-04-14 22:29 - 2016-04-14 22:29 - 00000000 ____D C:\WINDOWS\system32\foj
2016-04-13 23:17 - 2016-04-13 23:17 - 00000000 ____D C:\WINDOWS\system32\raop
2016-04-13 15:29 - 2016-04-13 15:29 - 00000000 ____D C:\WINDOWS\system32\cymi
2016-04-11 22:18 - 2016-04-11 22:18 - 00000000 ____D C:\WINDOWS\system32\aty
2016-04-10 11:44 - 2016-04-10 11:44 - 00000000 ____D C:\WINDOWS\system32\minb
2016-04-10 11:21 - 2016-04-19 16:49 - 00000000 ____D C:\Users\Все пользователи\WindowsMsg
2016-04-10 11:21 - 2016-04-19 16:49 - 00000000 ____D C:\ProgramData\WindowsMsg
2016-04-10 11:21 - 2016-04-10 11:21 - 00000000 ____D C:\Users\Все пользователи\Windows Update
2016-04-10 11:21 - 2016-04-10 11:21 - 00000000 ____D C:\ProgramData\Windows Update
2016-04-10 01:20 - 2016-04-10 01:20 - 00000000 ____D C:\WINDOWS\system32\seb
2016-04-08 23:29 - 2016-04-08 23:29 - 00000000 ____D C:\WINDOWS\system32\igem
2016-04-07 22:09 - 2016-04-07 22:09 - 00000000 ____D C:\WINDOWS\system32\ners
2016-04-04 23:17 - 2016-04-04 23:17 - 00000000 ____D C:\WINDOWS\system32\pee
2016-04-04 00:03 - 2016-04-04 00:03 - 00000000 ____D C:\WINDOWS\system32\vyeo
2016-04-03 12:23 - 2016-04-03 12:23 - 00000000 ____D C:\WINDOWS\system32\uged
2016-04-03 11:53 - 2016-05-03 08:37 - 00000000 ____D C:\Users\Все пользователи\ContentProtector
2016-04-03 11:53 - 2016-05-03 08:37 - 00000000 ____D C:\ProgramData\ContentProtector
2016-04-03 11:51 - 2016-04-03 11:51 - 00000000 ____D C:\Users\Все пользователи\ZWdMZ
2016-04-03 11:51 - 2016-04-03 11:51 - 00000000 ____D C:\ProgramData\ZWdMZ
2016-04-03 11:43 - 2016-05-03 08:40 - 00000000 ____D C:\Users\Roman\AppData\Roaming\Khrobge
2016-04-03 11:43 - 2016-05-03 08:37 - 00000000 ____D C:\Program Files\Arocmihre
2016-04-03 11:43 - 2016-05-01 11:39 - 00000000 ____D C:\Users\Roman\AppData\Roaming\BelgoBoms
2016-03-20 09:23 - 2016-04-30 18:49 - 00000153 _____ C:\WINDOWS\SysWOW64\L
2016-03-20 09:22 - 2016-03-20 09:22 - 00000000 ____D C:\Users\Roman\Downloads\Torrentex
2016-03-20 09:22 - 2016-03-20 09:19 - 00000965 _____ C:\WINDOWS\system32\Drivers\etc\hp.bak
2016-02-23 01:48 - 2016-02-23 01:48 - 00000000 ____D C:\WINDOWS\system32\beg
2016-02-23 01:19 - 2016-02-23 01:42 - 00000000 ____D C:\Users\Roman\AppData\Roaming\TextEditor
2016-02-23 01:18 - 2016-03-10 15:24 - 00000000 ____D C:\Program Files (x86)\UCBrowser
2016-02-23 01:16 - 2016-03-07 22:16 - 00000000 ____D C:\Users\Roman\ReportSender
2016-02-23 01:14 - 2016-03-02 17:42 - 00000000 ____D C:\Users\Roman\AppData\Local\SystemDir
2016-02-17 18:26 - 2016-02-17 18:26 - 00001676 ____R C:\Yeabeats Browser.lnk
2016-02-17 18:25 - 2016-02-17 18:25 - 00000000 _____ C:\WINDOWS\SysWOW64\Number of results
2016-02-11 18:22 - 2016-02-11 18:22 - 00000000 ____D C:\Users\Все пользователи\LzobNAkbORwp
2016-02-11 18:22 - 2016-02-11 18:22 - 00000000 ____D C:\ProgramData\LzobNAkbORwp
2016-02-11 18:20 - 2016-02-11 18:20 - 00005120 _____ C:\Users\Roman\AppData\Roaming\GiftBag.db
2016-02-11 18:19 - 2016-04-19 13:58 - 00132344 _____ (Tencent Technology(Shenzhen) Company Limited) C:\WINDOWS\system32\Drivers\TAOKernelEx64.sys
2016-02-09 19:01 - 2016-02-09 19:01 - 00000000 ____D C:\Users\Все пользователи\ziBnYS
2016-02-09 19:01 - 2016-02-09 19:01 - 00000000 ____D C:\ProgramData\ziBnYS
2016-05-03 08:37 - 2015-12-10 21:05 - 00000000 ____D C:\Users\Roman\AppData\Roaming\privoxy
2015-03-31 11:14 - 2015-03-31 11:14 - 0005655 _____ () C:\Users\Roman\AppData\Roaming\3nx546lbnjLXQLAHdFn
2015-03-31 11:14 - 2015-03-31 11:14 - 0005655 _____ () C:\Users\Roman\AppData\Roaming\DbUOLmaVrmWAqSp3Z0sP
2016-02-11 18:20 - 2016-02-11 18:20 - 0005120 _____ () C:\Users\Roman\AppData\Roaming\GiftBag.db
C:\ProgramData\MTViewbuildmtview_316.exe
C:\Users\Все пользователи\MTViewbuildmtview_316.exe
Task: {0EDB0C4D-5221-45A2-93D3-4C1AC38FDF68} - \Microsoft\Windows\Setup\GWXTriggers\refreshgwxconfig-B -> No File <==== ATTENTION
Task: {23B5A7D3-6C19-487B-93EB-1493603478CA} - \Microsoft\Windows\Setup\gwx\refreshgwxconfig -> No File <==== ATTENTION
Task: {5C9EFE8B-DC73-4D54-A916-17ADF373FB99} - \Microsoft\Windows\SystemRestore\FreeVPN -> No File <==== ATTENTION
Task: {64D07415-9A96-4E68-AF94-9AA42F7E5C14} - \Microsoft\Windows\Setup\gwx\launchtrayprocess -> No File <==== ATTENTION
Task: {6B6C8261-B503-4707-8896-5B744751B42A} - \{50D7A221-467A-46C1-AE4E-46F3CDFA0FFD} -> No File <==== ATTENTION
Task: {716557FE-0590-4C23-9F32-9A9AE58D04B0} - \Microsoft\Windows\Setup\GWXTriggers\OutOfSleep-5d -> No File <==== ATTENTION
Task: {78D9F84A-515E-4075-8872-027E1132007E} - \Legwyfte -> No File <==== ATTENTION
Task: {9D96A0A9-FD1B-4EFA-A4D6-D94ADAB50527} - \Microsoft\Windows\Setup\GWXTriggers\Time-5d -> No File <==== ATTENTION
Task: {A3BB16BA-D158-4A3B-9C0B-83ED538064DE} - \new_game_updating_service -> No File <==== ATTENTION
Task: {A6D932E2-1A7F-426E-B50E-E97DDB36D799} - \{A95E3F1B-92C5-409A-B858-31C2A2C9C28F} -> No File <==== ATTENTION
Task: {AC5D02AF-86A4-4AF6-80AA-5ECC92AD4211} - \Microsoft\Windows\Setup\GWXTriggers\Telemetry-4xd -> No File <==== ATTENTION
Task: {AC9C3168-5D78-48B7-9FE9-7BE24CD3AA0E} - \Microsoft\Windows\Setup\gwx\refreshgwxconfigandcontent -> No File <==== ATTENTION
Task: {AD88C71C-1291-4F46-9D1C-314F83164706} - \Microsoft\Windows\Setup\GWXTriggers\MachineUnlock-5d -> No File <==== ATTENTION
Task: {BDB9AAD6-0E33-4A70-AEFC-26087D5EBAB9} - \Microsoft\Windows\Setup\GWXTriggers\OutOfIdle-5d -> No File <==== ATTENTION
Task: {CAF2CB42-4FB5-44D0-B144-24D630244968} - \sysnet -> No File <==== ATTENTION
Task: {CC9FD995-EC08-4DE5-B58B-6271A615F988} - \Microsoft\Windows\Setup\gwx\refreshgwxcontent -> No File <==== ATTENTION
Task: {FD482C9C-4351-4A92-A9A8-D97400151AC8} - \Microsoft\Windows\Setup\GWXTriggers\Logon-5d -> No File <==== ATTENTION
Reboot:

2. Нажмите Файл – Сохранить как
3. Выберите папку, откуда была запущена утилита Farbar Recovery Scan Tool
4. Укажите Тип файла – Все файлы (*.*)
5. Введите имя файла fixlist.txt и нажмите кнопку Сохранить
6. Запустите FRST, нажмите один раз на кнопку Fix и подождите. Программа создаст лог-файл (Fixlog.txt). Пожалуйста, прикрепите его в следующем сообщении!

• Обратите внимание, что компьютер будет перезагружен.

[romannk]

C:\WINDOWS\system32\dnsapi.dll - https://www.virustotal.com/ru/file/e...is/1462262029/
C:\WINDOWS\SysWOW64\dnsapi.dll - https://virustotal.com/ru/file/e17dc...is/1462263044/

Chrome Search через Установку и удаление программ не удаляется, когда нажимаю удалить вылазиет вот такая штука и программа не удаляется.

google search.jpg

Fixlog.txt прикрепил.

[thyrex]

Сделайте лог AdwCleaner

[romannk]

Прикрепил.

[thyrex]

Отметьте и удалите все найденное

[romannk]

Удалил.

Спасибо.

Chrome Search удалился из установки программ.

Рекламы в браузере больше нету.

Компьютер работает отлично.

Рабочий стол загружается нормально.

[thyrex]

Удалите МВАМ

[CyberHelper]

Статистика проведенного лечения:

• Получено карантинов: 1
• Обработано файлов: 24
• В ходе лечения обнаружены вредоносные программы:
  
  1. c:\program files (x86)\iobit\liveupdate\liveupdate.exe - not-a-virus:Downloader.Win32.AdLoad.uhdq
  2. c:\program files (x86)\max driver updater\uninstaller.exe - not-a-virus:HEUR:Downloader.MSIL.Uniwiz.gen ( BitDefender: Trojan.Generic.16281194 )
  3. c:\program files\spacesoundpro\uninstaller.exe - not-a-virus:HEUR:Downloader.MSIL.Uniwiz.gen ( BitDefender: Gen:Variant.MSILPerseus.28926 )
  4. c:\programdata\service.exe - Trojan-Downloader.Win32.Agent.wtqfr ( BitDefender: Application.Generic.1590133, AVAST4: Win32:Adware-gen [Adw] )
  5. c:\users\roman\appdata\local\birds\cassowary.dll - not-a-virus:AdWare.Win32.Agent.jvbj ( AVAST4: Win32:Adware-gen [Adw] )
  6. c:\users\roman\appdata\local\birds\ruppellsvulture .dll - not-a-virus:AdWare.Win32.Agent.jtek
  7. c:\users\roman\appdata\roaming\khrobge\fubdhpe.exe - Trojan.Win64.Agent.dox
  8. c:\users\roman\appdata\roaming\khrobge\khrobge.exe - Trojan.Win32.Agent.iirc ( BitDefender: Gen:Variant.Razy.29170 )
  9. c:\users\roman\appdata\roaming\khrobge\wuwcuuj.exe - not-a-virus:WebToolbar.Win32.Perion.nc ( BitDefender: Gen:Variant.Razy.29941 )
  10. c:\users\roman\appdata\roaming\svrupg.exe - Backdoor.Win32.Agent.gpuk ( BitDefender: Gen:Variant.Graftor.269178, AVAST4: Win32:Malware-gen )
  11. c:\users\roman\appdata\roaming\texteditor\daemon\t exteditor.exe - not-a-virus:WebToolbar.Win32.Neobar.k
  12. c:\users\roman\appdata\roaming\upupdata\service.ex e - Trojan-Downloader.Win32.Agent.wtqfr ( BitDefender: Application.Generic.1590133, AVAST4: Win32:Adware-gen [Adw] )
  13. c:\windows\system32\dnsapi.dll - Trojan.Win32.Patched.qw ( BitDefender: Trojan.Patched.Shopperz.1, AVAST4: Win32:Patched-AWK [Trj] )
  14. c:\windows\system32\dnsapi.dll - Trojan.Win64.Patched.qw ( BitDefender: Trojan.Patched.Shopperz.1 )
  15. c:\windows\system32\drivers\cherimoya.sys - not-a-virus:HEUR:WebToolbar.Win32.Perion.gen ( AVAST4: Win64:Adware-gen [Adw] )